Документы по персональным данным для сайта: что должно быть и где размещать
Коротко
У вас есть сайт. У вас есть форма захвата. Значит, у вас есть проблема
Любой сайт, который собирает имя, телефон или e-mail, автоматически становится оператором персональных данных. А оператор по закону обязан опубликовать документы, регламентирующие обработку ПДн. Иначе — штраф.
Отсутствие Политики обработки ПДн на сайте — прямое нарушение ч. 3 ст. 13.11 КоАП РФ. Штраф для юрлиц: до 60 000 ₽. А если при этом вы обрабатываете данные без законных оснований (ч. 1 ст. 13.11) — до 300 000 ₽. Два состава — два штрафа — одна проверка.
Роскомнадзор методично проверяет сайты. В 2025 году количество внеплановых проверок выросло на 40% по сравнению с 2024-м. Проверяют не только крупных — под прицелом любой сайт с формой обратной связи.
Какие документы нужны сайту: полный чек-лист
| № | Документ | Кому обязателен | Штраф за отсутствие |
|---|---|---|---|
| 1 | Политика обработки ПДн | Всем сайтам, собирающим любые ПДн | до 60 000 ₽ |
| 2 | Согласие на обработку ПДн | Сайтам с формами захвата (имя, телефон, e-mail) | до 300 000 ₽ |
| 3 | Согласие на рассылку | Сайтам с e-mail/смс-рассылками | до 500 000 ₽ |
| 4 | Договор поручения обработки | Сайтам, чьи данные хранятся на хостинге/в CRM | до 300 000 ₽ |
Разберём каждый документ: что это, зачем и как оформить без ошибок.
1. Политика обработки персональных данных
Что это. Публичный документ, который объясняет пользователям: кто вы, какие данные собираете, зачем, как долго храните и кому передаёте.
Где размещать. На каждой странице сайта — кликабельная ссылка в футере. На странице с формой — ссылка рядом с чекбоксом согласия. Политика должна быть доступна до того, как пользователь отправит данные.
Что должно быть внутри (требования Роскомнадзора):
- Полные реквизиты оператора: наименование/ФИО, ИНН, ОГРН, контакты, e-mail
- Цели обработки (для каждой — отдельно)
- Категории и перечень собираемых ПДн
- Правовые основания обработки
- Сроки хранения и порядок уничтожения
- Сведения о передаче третьим лицам
- Сведения о трансграничной передаче (если есть)
- Способы связи с оператором для реализации прав субъектов
Роскомнадзор опубликовал Рекомендации по составлению Политики ОПД. Если ваша Политика содержит все пункты из рекомендаций — к её содержанию не придерутся. Достаточно адаптировать шаблон под свои цели обработки.
Типичная ошибка. Политика скопирована с чужого сайта и содержит цели обработки, которых у вас нет. Например, интернет-магазин копирует Политику у EdTech-платформы и оставляет пункт «обработка данных несовершеннолетних учащихся». При проверке это — несоответствие, а значит — нарушение.
2. Согласие на обработку персональных данных
Что это. Документ, которым пользователь явно разрешает вам обрабатывать его данные. Без согласия — нет законных оснований для обработки.
Как оформлять. Чекбокс + ссылка на текст Согласия. Пользователь должен активно поставить галочку — чекбокс не может быть проставлен заранее. Это позиция Роспотребнадзора (письмо от 05.11.2020) и судебная практика.
Что должно быть в тексте Согласия:
- Сведения о пользователе (ФИО, если собираете)
- Наименование/ФИО и адрес оператора
- Цель обработки (конкретная — не «для всего»)
- Перечень ПДн, на обработку которых даётся согласие
- Перечень действий с ПДн (сбор, хранение, передача и т.д.)
- Срок действия согласия и способ отзыва
- Ссылка на Политику обработки ПДн
Если вы собираете данные для регистрации И для рассылки — это две разные цели. Либо оформляйте отдельные согласия под каждую цель, либо перечисляйте все цели в одном Согласии с отдельными чекбоксами.
Типичная ошибка. Форма захвата без чекбокса и ссылки на Согласие. Или чекбокс есть, но он ведёт на пустую страницу/404. Или чекбокс уже проставлен. Всё это — отсутствие согласия в глазах закона.
3. Согласие на рассылку
Что это. Отдельный документ, разрешающий присылать пользователю информационные и рекламные сообщения.
Почему это отдельно от Согласия на ПДн. Потому что штрафуют по разным статьям:
- Нет согласия на обработку ПДн → ст. 13.11 КоАП РФ → до 300 000 ₽
- Нет согласия на рассылку → ст. 14.3 КоАП РФ (нарушение законодательства о рекламе) → до 500 000 ₽
Да, за спам штрафуют больнее, чем за отсутствие Политики ПДн.
Что должно быть в Согласии на рассылку:
- Кто рассылает (реквизиты оператора)
- На какой адрес/телефон будет приходить рассылка
- Какие данные используются для рассылки (e-mail, телефон)
- Срок действия согласия
- Способ отзыва: «в любой момент по ссылке в письме или через e-mail на info@...»
Каждое письмо рассылки должно содержать ссылку для отписки. Это не рекомендация — это требование ст. 18 Федерального закона «О рекламе» (№ 38-ФЗ). Без ссылки — штраф до 500 000 ₽.
4. Договор поручения обработки ПДн
Что это. Договор между вами (оператором) и сторонней компанией (обработчиком), которой вы доверяете обработку ПДн: хостинг-провайдер, CRM, сервис рассылок, облачное хранилище.
Кому нужен. Всем, у кого данные пользователей уходят за пределы собственного сервера. А это происходит всегда: форма на сайте → данные улетают в CRM → CRM хранится на хостинге/в облаке → хостинг-провайдер видит базу данных.
Что должно быть в Договоре поручения (ст. 6 ФЗ-152):
- Перечень действий с ПДн, которые обработчик будет совершать
- Цели обработки
- Обязанность обработчика соблюдать конфиденциальность
- Обязанность обеспечить безопасность ПДн
- Требования к защите ПДн (в соответствии со ст. 19 ФЗ-152)
Если ваш хостинг или CRM находится за пределами РФ, а вы не обеспечили локализацию записи, систематизации, накопления и хранения ПДн на серверах в России — штраф по ч. 8 ст. 13.11 КоАП РФ: до 6 000 000 ₽ за первое нарушение, до 18 000 000 ₽ за повторное.
Типичная ошибка. Использовать зарубежные сервисы без Договора поручения. Tilda, Notion, Google Forms, Mailchimp — если туда попадают ПДн ваших пользователей, вы обязаны либо заключить Договор поручения, либо отказаться от сервиса в пользу российского аналога.
Что будет, если не сделать ничего
Представим: интернет-магазин на Tilda. Форма заказа: имя, телефон, e-mail. Рассылка акций через Unisender. Политики нет. Согласия нет. Договора поручения с Tilda и Unisender нет.
При проверке Роскомнадзора — четыре состава:
| Состав | Статья | Штраф |
|---|---|---|
| Нет опубликованной Политики ОПД | ч. 3 ст. 13.11 КоАП | до 60 000 ₽ |
| Обработка без согласия (форма заказа) | ч. 2 ст. 13.11 КоАП | до 700 000 ₽ |
| Рассылка без согласия | ч. 1 ст. 14.3 КоАП | до 500 000 ₽ |
| Нет Договора поручения с обработчиками | ч. 1 ст. 13.11 КоАП | до 300 000 ₽ |
| Итого | до 1 560 000 ₽ |
Плюс — предписание об устранении. Не исполнили в срок — повторный штраф, теперь уже до 500 000 ₽ за каждый состав.
Пошаговый план: как привести сайт в порядок за неделю
День 1: Аудит того, что есть
Откройте свой сайт. Найдите Политику ОПД (обычно в футере). Проверьте: есть ли чекбокс с согласием на всех формах захвата? Есть ли согласие на рассылку? Есть ли Договоры поручения с хостингом и CRM? Запишите, чего не хватает.
День 2-3: Подготовка документов
Возьмите шаблоны Политики ОПД и Согласий. Адаптируйте под свои цели обработки. Проверьте по чек-листу Роскомнадзора, что все пункты на месте. Подготовьте Договор поручения для хостинг-провайдера.
День 4: Размещение на сайте
Опубликуйте Политику ОПД на отдельной странице. Добавьте ссылку в футер. Настройте чекбокс с согласием на всех формах — со ссылкой на текст Согласия. Добавьте чекбокс согласия на рассылку отдельно.
День 5: Техническая проверка
Убедитесь, что чекбоксы не проставлены заранее. Проверьте, что ссылки с чекбоксов ведут на актуальные документы. Отправьте тестовую заявку — проверьте, что данные не уходят на зарубежные серверы.
День 6-7: Договоры с обработчиками
Подпишите Договоры поручения с хостинг-провайдером и CRM. Если хостинг иностранный — запланируйте миграцию на российский. Уведомите Роскомнадзор о начале обработки ПДн (если не подпадаете под исключения).
Часто задаваемые вопросы
Часто задаваемые вопросы
Коротко: что сделать прямо сейчас
- Проверьте — есть ли Политика ОПД в футере и работает ли ссылка.
- Откройте форму захвата — есть ли чекбокс с согласием и не проставлен ли он заранее.
- Вспомните — куда уходят данные после отправки формы (CRM, хостинг, почта). На все внешние сервисы нужен Договор поручения.
- Проверьте — где физически находятся серверы. Если за границей — вы в зоне риска.
Если хотя бы по одному пункту ответ «нет» или «не знаю» — ваши риски уже превышают 300 000 ₽.
Дата публикации: 14.07.2026 | Автор: Роман Старов, юрист по IT-праву и защите ПДн